En bref
Une faille critique d’Elementor Pro, référencée CVE-2026-32475 et notée 9 sur 10 par Patchstack, permet à un visiteur non connecté de déposer un fichier PHP sur votre site grâce au champ d’envoi de fichier des formulaires. Elle est exploitée depuis le 19 août 2026 et touche toutes les versions jusqu’à la 4.2.1. Installez Elementor Pro 4.2.2 ou une version plus récente, puis vérifiez qu’aucun fichier .php n’a été déposé dans le dossier wp-content/uploads/elementor/forms/.
Elementor Pro équipe une très grande partie des sites vitrines construits avec WordPress, et son widget Formulaire sert souvent de page de contact, de demande de devis ou de dépôt de candidature. C’est justement ce widget qui est en cause, et plus précisément le champ qui permet à vos visiteurs de joindre un fichier. Beaucoup de sites tournent encore avec une version ancienne, et c’est très souvent par ce genre de faille qu’un site finit dans la catégorie des sites WordPress piratés.
Que se passe-t-il avec Elementor Pro ?
Elementor Pro contient une erreur dans le contrôle des fichiers envoyés par ses formulaires, qui laisse passer un fichier PHP, c’est-à-dire un fichier de code que le serveur peut exécuter. D’après la fiche publiée par Patchstack, la faille porte la référence CVE-2026-32475, reçoit un score CVSS de 9 sur 10 (l’échelle qui mesure la gravité d’une faille) et ne demande aucun compte sur le site pour être exploitée.
Le calendrier est assez parlant. Le problème a été signalé le 16 juillet 2026 dans le cadre du programme de primes de Patchstack, et le correctif est arrivé avec la version 4.2.2 publiée le 19 août 2026, comme le rapporte The Hacker News. Les premières attaques ont commencé le jour même. Selon BleepingComputer, le pare-feu Wordfence a bloqué plus de 190 000 tentatives d’exploitation entre le 19 et le 23 août, sur une extension qui compte plus de 6 millions d’installations actives.
Votre site est-il concerné ?
Votre site est exposé s’il utilise Elementor Pro en version 4.2.1 ou antérieure et qu’au moins une page publiée contient un formulaire avec un champ d’envoi de fichier. Les trois conditions doivent être réunies :
- Elementor Pro est installé et activé (la version gratuite seule n’est pas visée par cette faille) ;
- sa version est la 4.2.1 ou une version plus ancienne ;
- un formulaire Elementor publié propose à vos visiteurs de joindre un fichier (CV, photo, plan, justificatif).
Un site sans champ d’envoi de fichier n’offre pas de prise à cette attaque, mais ce n’est pas une raison pour rester sur une ancienne version : il suffit qu’un collaborateur ajoute un jour ce champ pour rouvrir la porte. Et si vous avez déjà traité la faille CSRF d’Elementor 4.3, sachez qu’il s’agit d’un autre problème, qui concernait l’extension gratuite.
Pourquoi cette faille est-elle si dangereuse ?
Cette faille est dangereuse parce qu’un fichier PHP déposé sur le serveur donne à son auteur à peu près les mêmes pouvoirs que le propriétaire du site. Très souvent, ce premier fichier sert de « porte dérobée », un petit programme caché qui permet de revenir plus tard, même après une mise à jour. Suivent les symptômes classiques : redirections douteuses, comptes administrateurs inconnus ou pages de spam dans Google.
Le risque est d’autant plus réel que l’attaque est automatisée et ne cible personne en particulier : des robots testent les sites les uns après les autres.
Comment protéger votre site dès aujourd’hui ?
La protection tient en une mise à jour vers Elementor Pro 4.2.2 ou plus récente, suivie d’un contrôle rapide des fichiers déjà envoyés par vos formulaires.
1. Vérifier la version installée
Dans l’administration, ouvrez le menu Extensions puis Extensions installées et repérez la ligne Elementor Pro : le numéro de version s’affiche juste sous sa description. À partir de la 4.2.2, la faille est corrigée chez vous.
2. Mettre à jour Elementor Pro
Elementor Pro n’est pas distribué par le répertoire officiel de WordPress : ses mises à jour arrivent par votre compte Elementor et dépendent d’une licence active et reliée au site. Une licence expirée bloque donc les mises à jour, et une copie piratée n’en reçoit jamais, ce qui est l’un des risques des extensions « nulled ». Sauvegardez le site avant la mise à jour, puis testez vos formulaires.
3. Contrôler le dossier des formulaires
Les fichiers joints par vos visiteurs sont rangés dans le dossier wp-content/uploads/elementor/forms/, que vous pouvez ouvrir avec le gestionnaire de fichiers de votre hébergeur ou un logiciel FTP. Vous devez y trouver des documents, des images ou des PDF : un fichier qui se termine par .php n’a rien à faire là et doit être considéré comme le signe d’une intrusion.
4. Chercher d’autres traces
Passez en revue la liste des utilisateurs à la recherche d’un administrateur que vous ne connaissez pas, ainsi que la liste des extensions. Un scanner de sécurité complète utilement ce contrôle, et notre article pour détecter les malwares sur un site WordPress vous indique les signes à surveiller.
Que faire si vous trouvez un fichier suspect ?
Si vous trouvez un fichier PHP dans le dossier des formulaires, considérez que le site est compromis et ne vous contentez pas de supprimer ce fichier. Les pirates en laissent généralement plusieurs, à des endroits différents, et un nettoyage partiel laisse le site retomber quelques jours plus tard. C’est le moment de vous arrêter et de faire appel à un professionnel, qui changera aussi les mots de passe, contrôlera la base de données et fermera la faille.
Nous aimons
Un correctif unique et clair, la version 4.2.2, et une fiche Patchstack qui précise exactement quelles versions sont touchées.
Nous aimons moins
Les mises à jour d’Elementor Pro passent par la licence : beaucoup de sites livrés il y a quelques années tournent avec une licence expirée et restent bloqués sur une version vulnérable sans que leur propriétaire le sache.
Nous n’aimons pas du tout
Les attaques ont démarré le jour même de la sortie du correctif. Attendre le mois suivant pour faire ses mises à jour n’est plus une stratégie viable pour une extension aussi répandue.
En conclusion :
Si votre site utilise Elementor Pro et un formulaire avec envoi de fichier, vérifiez dès aujourd’hui que la version installée est au moins la 4.2.2 et jetez un œil au dossier des formulaires. Le correctif est simple, ce qui rend d’autant plus regrettable un piratage qui aurait pu être évité.
Vous trouvez un fichier suspect, votre licence a expiré ou vous préférez qu’on s’en charge ? L’équipe DépannageWP vérifie votre site, applique la mise à jour et, si besoin, nettoie votre site WordPress piraté et ferme la faille. L’audit est gratuit et nous intervenons à distance partout en France.
